Європейський Союз готує новий етап кібербезпеки: сильнішу роль Агенції ЄС з кібербезпеки, швидшу сертифікацію цифрових продуктів, простіші правила для бізнесу та жорсткіший контроль за небезпечними ІКТ-ланцюгами постачання.
Для України це не абстрактна бюрократія Брюсселя, а питання того, чи вистоїть лікарня, банк, водоканал, ЦНАП, енергомережа і громада в день, коли атака приходить не ракетою, а через оновлення програмного забезпечення.
У мирній країні кібербезпеку часто уявляють як роботу айтішників десь у серверній. В Україні це давно виглядає інакше. Це коли під час повітряної тривоги лікарня має доступ до електронних медичних записів. Коли диспетчер водоканалу бачить тиск у мережі, а не здогадується про аварію з дзвінків мешканців. Коли громада може видати довідку переселенцю. Коли банк проводить платіж. Коли логістична компанія довозить генератор, ліки або обладнання, а не пояснює, що “система тимчасово недоступна”.
Європейський парламентський дослідницький сервіс проаналізував оцінку впливу Європейської Комісії до пакета, який фактично відкриває другий етап європейської політики кібербезпеки. Йдеться про перегляд мандата Агенції ЄС з кібербезпеки, оновлення Європейської рамки сертифікації кібербезпеки, цільові спрощення для виконання Директиви NIS2 та нову рамку для безпеки ІКТ-ланцюгів постачання.
Пропозиції Європейської Комісії були ухвалені 20 січня 2026 року і передані до Комітету Європейського парламенту з питань промисловості, досліджень та енергетики. Але за сухою процедурою стоїть значно більша історія: Європа намагається зрозуміти, як захищати цифрову інфраструктуру у світі, де кібератаки стали частиною геополітики, війни, економічного тиску і боротьби за технологічний суверенітет.
Що саме змінює Європейський Союз
Оцінка впливу, яку розглядає EPRS, підтримує чотири великі напрямки змін. Перший — перегляд ролі Агенції ЄС з кібербезпеки, щоб її мандат відповідав новому рівню загроз. Другий — оновлення сертифікації кібербезпеки, щоб європейські схеми не буксували роками, а реально працювали для ринку. Третій — спрощення виконання правил NIS2, бо бізнес і державні органи вже стикаються з надмірною складністю цифрового регулювання. Четвертий — створення горизонтальної рамки для безпеки ІКТ-ланцюгів постачання, зокрема щодо ризикових постачальників, пов’язаних із третіми країнами.
4 вузли реформи ЄС
оновлення мандата, координація, підтримка держав 2. Сертифікація
швидші схеми, ширше застосування, прозоріші процедури 3. Спрощення NIS2
менше дублювання, зрозуміліші вимоги, нижчий тиск на бізнес 4. Ланцюги постачання
контроль залежностей, ризикових постачальників і непрямих загроз
Кіберризик уже не живе лише в комп’ютері
Одна з найважливіших думок брифінгу полягає в тому, що сучасний кіберризик часто приходить через ланцюг постачання. Не обов’язково ламати державний орган напряму. Достатньо потрапити до слабшого постачальника, оновлення, хмарного сервісу, обладнання, підрядника або програмного компонента. Саме тому EPRS звертає увагу на підхід Комісії до технічних і нетехнічних ризиків в ІКТ-ланцюгах постачання.
Для українського сьогодення це дуже впізнавано. Громада може закупити систему відеоспостереження, лікарня — програму для обліку пацієнтів, комунальне підприємство — цифровий модуль для диспетчеризації, школа — хмарний сервіс, а малий бізнес — дешеве обладнання для мережі. На папері це різні рішення. У житті — один спільний цифровий ланцюг. І якщо в ньому є слабка ланка, наслідки відчує не тільки бухгалтер або системний адміністратор, а пацієнт, переселенець, водій автобуса, підприємець, військовий логіст або мешканець будинку, де раптом зникає послуга.
Український день у цифровому ланцюгу
лікарняводоканалбанкЦНАПпостачальникдержавний реєстр
Кібербезпека тут — це не “айтішна тема”. Це довіра до послуги, яка має працювати навіть тоді, коли країна живе під загрозою ударів, відключень, атак і постійного стресу.
Чому ЄС переглядає правила саме зараз
EPRS зазначає, що цифрова інфраструктура стала основою економіки, суспільства і суверенітету Європи. На цьому тлі європейське регулювання кібербезпеки ускладнювалося через зростання кількості атак, нові технології, фрагментацію правил і геополітичну нестабільність. Штучний інтелект, квантові технології, хмарні сервіси, 5G, цифрові платформи і критична інфраструктура вже не існують окремо. Вони взаємозалежні.
Саме тому оцінка впливу Комісії виділяє чотири проблеми. Перша — невідповідність чинної політики ЄС потребам держав, бізнесу та інших учасників у дедалі ворожішому середовищі. Друга — повільне впровадження європейської сертифікації кібербезпеки. Третя — складність і різноманітність кіберправил, які одночасно впливають на компанії та державні органи. Четверта — зростання ризиків у ланцюгах постачання ІКТ.
Для України ці проблеми не теоретичні. Українські громади вже знають, що одна атака може зупинити адміністративну послугу. Бізнес знає, що вимкнений цифровий кабінет або недоступна система обліку — це не “технічна пауза”, а прямі втрати. Держава знає, що цифрові сервіси під час війни стали частиною стійкості, а не просто зручності.
Брифінг визнає, що оцінка впливу Комісії загалом добре обґрунтовує необхідність перегляду Акта про кібербезпеку. Вона має чітке визначення проблем, логіку втручання, описує цілі, варіанти політики, очікувані наслідки та методологічні припущення. Окремо оцінюються економічні, соціальні та екологічні впливи, хоча економічний вимір розкритий набагато глибше.
Важливо, що Комісія включила тест для малого і середнього бізнесу. Це принципово, бо саме невеликі компанії часто не мають великих юридичних і технічних команд, але працюють у складних цифрових екосистемах. Для українського малого бізнесу, який уже живе між податками, мобілізаційними ризиками, логістикою, обстрілами, браком кадрів і постійними змінами, європейський урок очевидний: кіберправила мають бути не лише суворими, а й зрозумілими.
Але слабкі місця також є
EPRS не перетворює аналіз на комплімент Брюсселю. У документі прямо зазначено, що оцінка впливу має низку проблем. Попри політичну вагу ініціативи, до неї не додано окрему сітку субсидіарності. Пропорційність не розглянута в окремому повноцінному розділі. Варіанти політики частково перетинаються між собою, тому не завжди виглядають як справді різні альтернативи.
Є питання і до консультацій. Комісія збирала позиції зацікавлених сторін, але EPRS звертає увагу, що їхні погляди могли бути краще враховані саме при аналізі варіантів політики та можливих наслідків. Публічна консультація також не відповідала стандартній 12-тижневій вимозі кращого регулювання. Для теми, яка зачіпає бізнес, громадян, державні органи, критичну інфраструктуру і права людини, це не дрібниця.
Окрема слабкість — соціальні наслідки. Документ визнає, що питання фундаментальних прав, приватності, захисту персональних даних і можливого втручання в права громадян могли бути розкриті глибше. Для України це особливо важливо, бо у воєнній державі аргумент безпеки часто звучить дуже сильно. Але саме тому парламентська політика має постійно тримати баланс між захистом інфраструктури і захистом людини.
Україні потрібно не копіювати, а готуватися
Україні не потрібно механічно переписувати кожну європейську норму. Але потрібно уважно дивитися, куди рухається ЄС. Якщо майбутня інтеграція України до єдиного цифрового, промислового та безпекового простору Європи є реальною політичною ціллю, то питання кіберсертифікації, довіри до постачальників, стійкості критичної інфраструктури і зрозумілих вимог до бізнесу неминуче прийдуть і до українського порядку денного.
Особливо це стосується громад. Бо саме на місцевому рівні європейська кіберполітика перестає бути “європейською політикою” і стає питанням роботи реєстратури, комунального підприємства, лікарні, школи, транспортного диспетчера, пункту незламності, системи оповіщення, місцевого дата-центру або підрядника, який обслуговує мережу.
Що варто Ретельно проаналізувати
Перше. Кібербезпека має розглядатися як частина національної стійкості, а не лише як технічний стандарт.
Друге. Сертифікація цифрових продуктів має бути зрозумілою для бізнесу, інакше вона стане бар’єром, а не захистом.
Третє. Ланцюги постачання треба аналізувати не тільки за ціною, а й за ризиком залежності, походження, контролю та доступу до даних.
Четверте. Права людини, приватність і захист персональних даних мають бути частиною кібербезпеки, а не додатком після ухвалення рішення.
Для парламенту кібербезпека — це вже не вузька тема одного комітету. Вона перетинає економічну політику, промисловість, оборону, права людини, цифрову трансформацію, місцеве самоврядування, європейську інтеграцію і контроль за урядом. Саме тому досвід ЄС важливий не лише як майбутнє наближення до acquis, а як приклад того, як будувати законодавство, яке бачить не тільки технологію, а й людину, бізнес, громаду та державу.
У практичному сенсі це означає, що українські закони і підзаконні акти мають відповідати кільком простим питанням. Хто відповідає за кіберстійкість конкретної послуги ? Як оцінюється ризик постачальника ? Як малий бізнес виконує вимоги без надмірного адміністративного тиску ? Як захищаються персональні дані ? Як держава перевіряє не тільки технічну відповідність, а й реальну готовність до інциденту ?
Перегляд Акта ЄС про кібербезпеку показує, що Європа входить у нову фазу цифрової політики. Раніше головним було створити правила. Тепер — зробити так, щоб ці правила працювали під тиском реальних атак, складних ланцюгів постачання, геополітичних залежностей і швидкої технологічної зміни.
Для України це важливо ще гостріше. Бо українська цифрова стійкість перевіряється не в лабораторії і не на конференції. Вона перевіряється у день, коли є повітряна тривога, відключення світла, перевантажена лікарня, черга в ЦНАПі, бізнес на межі виживання і громада, яка все одно має працювати.
Кібербезпека держави починається не з красивої стратегії, а з простої речі — людина натискає кнопку, звертається по послугу, отримує допомогу, проводить платіж, відкриває реєстр, і система працює навіть тоді, коли ворог хоче, щоб вона зупинилася.
